一種基于無關(guān)DNS的通信隱私保護技術(shù)研究

中國聯(lián)合網(wǎng)絡(luò)通信有限公司濱州市分公司 薛 益

1 引言

如今，互聯(lián)網(wǎng)上幾乎所有的通信都是從域名系統(tǒng)(DNS)查找開始的。無論運營商是互聯(lián)網(wǎng)服務(wù)提供商(ISP)還是第三方，能夠觀察和保留這些敏感信息都會令人擔憂隱私泄露，因此，本文研究了一種解決此問題的基于無關(guān)DNS的通信隱私保護技術(shù)，即ODNS。

通常，DNS遞歸解析過程中DNS查詢和響應(yīng)都是明文的，因此，它們可以揭示用戶或設(shè)備正在與之通信的Internet目的地的重要信息[1]。遞歸DNS解析器——可以方便地關(guān)聯(lián)和跟蹤客戶端標識，以及關(guān)于他們的DNS查詢的信息，這實際上是一個的隱私風險隱患[2][3]。

用戶的Internet服務(wù)提供商(ISP)通常操作用戶的默認遞歸DNS解析器，使ISP能夠非常方便地訪問DNS查詢信息。為了降低這種風險，包一些服務(wù)商都在“開放”遞歸DNS解析服務(wù)，任何人都可以使用這些服務(wù)作為其ISP遞歸解析器的替代。然而，當用戶切換到這樣一個備用的DNS遞歸解析器時，并沒有解決隱私泄露風險問題;相反，用戶必須信任“開放”遞歸查詢，而不是其ISP。

2 ODNS簡介

無關(guān)DNS(ODNS)為了避免用戶信息的泄露而在今年中提出的一個新的方法，該技術(shù)采取了不同的策略: (1)不只是將信任錨從ISP轉(zhuǎn)移到其他第三方，而是試圖防止遞歸DNS解析器與IP地址之間的查詢產(chǎn)生沖突。為此，它一方面模糊了遞歸解析器從發(fā)出DNS查詢的客戶端看到的查詢；(2)從DNS層次的上層模糊客戶端IP地址，最終解析查詢。ODNS在現(xiàn)有DNS協(xié)議的上下文中運行，允許現(xiàn)有部署的基礎(chǔ)設(shè)施保持不變。通過利用全局DNS系統(tǒng)，ODNS將客戶端標識與查詢分離開來：客戶端向遞歸解析器發(fā)送加密查詢，遞歸解析器將查詢轉(zhuǎn)發(fā)到可以解析ODNS查詢的權(quán)威DNS服務(wù)器。遞歸解析器永遠不會看到客戶端查詢的DNS域，而ODNS權(quán)威服務(wù)器永遠不會看到客戶機的IP地址。

ODNS可以立即部署到現(xiàn)有的DNS基礎(chǔ)設(shè)施。ODNS需要對客戶機的存根解析器以及權(quán)威的DNS服務(wù)器進行小的更改。存根解析器接受一個現(xiàn)有的DNS查詢，對其進行加密，并附加一個特定于ODNS的域，以確保被轉(zhuǎn)發(fā)到權(quán)威的DNS服務(wù)器。權(quán)威DNS服務(wù)器對查詢進行解密，并且還必須充當遞歸DNS解析器——及時檢索對應(yīng)于客戶端初始查詢的DNS記錄。ODNS的隱私增強是以性能為代價的。跟蹤驅(qū)動的評估顯示，任何單個的未緩存的DNS查找速度都較慢是由于以下兩個因素：1)加密操作將查找時間增加了大約2毫秒；2)為每個查找添加客戶端和權(quán)威服務(wù)器之間的往返時間。通過設(shè)計使用任意類型的ODNS來減輕往返時間延遲的影響。最后，評估表明web頁面加載時間上的性能開銷是可以忽略的。此外，通過在存根解析器上實現(xiàn)緩存來減少現(xiàn)有遞歸解析器上的交通負擔。

3 ODNS分析

ODNS防止對方將每個DNS查詢與發(fā)出查詢的IP地址相關(guān)聯(lián)。我們假設(shè)一個對手服務(wù)器可以：(1)竊聽客戶端和遞歸解析器之間的通信，以及遞歸解析器和非優(yōu)化名稱服務(wù)器之間的通信；(2)向任何數(shù)量的DNS運營商請求數(shù)據(jù)(使用傳票或搜查令)；(3)訪問任何DNS服務(wù)器上的數(shù)據(jù)和日志(如查詢?nèi)罩?。

ODNS的操作與傳統(tǒng)的DNS類似，但改變了兩個組件：(1)每個客戶端運行一個修改后的存根解析器；(2) ODNS運行一個權(quán)威的名稱服務(wù)器，它還充當原始DNS查詢的遞歸DNS解析器:客戶端請求的存根解析器混淆域(通過對稱加密)，結(jié)果在遞歸解析器中不知道重新查詢域。

遞歸解析器將客戶端標識與被轉(zhuǎn)發(fā)到ODNS權(quán)威服務(wù)器的混淆請求分離開來。ODNS的權(quán)威名稱服務(wù)器對查詢進行解密，無法了解誰在請求特定的域。遞歸DNS解析器的操作人員可以看到單個IP廣播和域名查詢。如果遞歸使用DNS的擴展(如EDNS0客戶端子網(wǎng))，權(quán)威解析器的操作人員也可以了解客戶端信息。EDNS0可以向更高的DNS層次(不僅僅是遞歸的DNS解析器)的權(quán)威DNS服務(wù)器顯示用戶的IP地址或子網(wǎng)信息。ODNS向DNS層次結(jié)構(gòu)的不同級別的授權(quán)名稱服務(wù)器隱藏客戶端的IP地址。遞歸DNS解析器可以學(xué)習(xí)客戶端IP地址，但它永遠看不到查詢的域。ODNS要求客戶端使用自定義本地存根解析器，它從遞歸解析器中隱藏所請求的域。在客戶端運行的ODNS存根解析器，在將特定于ODNS的域(例如. ODNS)附加到查詢之前對原始DNS查詢和用于加密的密鑰進行加密，這會導(dǎo)致遞歸解析器將加密的do- main名稱轉(zhuǎn)發(fā)到ODNS權(quán)威服務(wù)器上。

當ODNS權(quán)威DNS服務(wù)器接收到DNS查詢時，它將進行以下兩各操作步驟：1)解密用于加密域的對稱密鑰；2)用對稱密鑰解密；3)作為傳統(tǒng)的去隱域遞歸解析器。一旦獲得結(jié)果，ODNS權(quán)威服務(wù)器將對響應(yīng)進行加密，并將其放置到響應(yīng)的另一個資源記錄(也稱為OPT)中。權(quán)威服務(wù)器返回解析器的響應(yīng)，并將響應(yīng)發(fā)送到客戶機。正如使用會話密鑰所解釋的，解析器盡管能夠了解客戶端是誰，但仍不能了解客戶端請求的域。

4 結(jié)語

DNS查詢可以顯示個人信息，如IP地址和設(shè)備類型等信息，并允許DNS解析器將這些信息與客戶端IP廣播關(guān)聯(lián)起來，而且需要用戶信任他們的遞歸DNS解析器。在這篇文章中，我們介紹了ODNS，一種將客戶端IP地址與DNS查詢分離的系統(tǒng)，ODNS被設(shè)計成與現(xiàn)有的DNS基礎(chǔ)設(shè)施完全兼容，只需要很少的更改，因此，基于成本方面的考慮，ODNS非常容易為現(xiàn)有DNS服務(wù)提供商所接受。